Cheval de Troie : qu’est-ce que cache réellement cette expression ?

De la ruse antique au piège numérique

Le cheval de Troie est d’abord un épisode de la mythologie grecque. Après un long siège, les Grecs feignent leur départ et laissent devant la ville de Troie un grand cheval de bois. Les Troyens le font entrer dans leurs remparts sans savoir que des guerriers s’y cachent. La chute de la ville découle donc d’un objet rassurant, accepté volontairement.

Le récit est surtout connu par L’Énéide de Virgile. Il ne constitue pas une preuve historique d’un véritable stratagème militaire : c’est une légende qui a donné une métaphore particulièrement juste pour la cybersécurité.

Qu’est-ce qu’un cheval de Troie informatique ?

En informatique, un cheval de Troie, souvent appelé trojan, est un logiciel malveillant dissimulé dans un fichier, une application, une extension ou un faux installateur. Il peut promettre un document, un jeu, une facture, un outil gratuit ou une mise à jour. Une fois lancé, il exécute une action cachée en plus de ce que l’utilisateur croit avoir installé.

Son rôle varie. Certains volent les mots de passe enregistrés dans le navigateur, d’autres interceptent les codes de double authentification, installent un logiciel de contrôle à distance, chiffrent des fichiers ou téléchargent d’autres malwares. Un même trojan peut combiner plusieurs fonctions et rester discret plusieurs jours.

Le mot est parfois employé à tort pour tout problème informatique. Une publicité intrusive, une application lente ou un message indésirable ne prouvent pas, à eux seuls, la présence d’un cheval de Troie. Il faut distinguer le mécanisme d’infection du dommage causé.

Comment un cheval de Troie arrive sur vos appareils

Le scénario classique commence par un message pressant : colis à confirmer, facture à régler, compte à débloquer, photo partagée ou candidature reçue. Le lien mène vers une fausse page de connexion ou télécharge une pièce jointe. Les fichiers compressés, les documents demandant d’« activer le contenu » et les programmes d’installation sont des vecteurs fréquents.

Les téléchargements hors boutiques officielles sont l’autre grand risque. Une version prétendument gratuite d’un logiciel payant, un outil d’optimisation miraculeux, un générateur de codes ou une extension de navigateur peu connue peuvent intégrer un trojan. Les fausses mises à jour affichées dans une fenêtre de navigateur sont également courantes : une vraie mise à jour se lance depuis les réglages du système ou l’application concernée, pas depuis une bannière alarmante.

Ordinateur, téléphone, tablette : aucun appareil n’est totalement à l’abri

Windows est une cible fréquente, mais macOS, Android et les navigateurs peuvent aussi être touchés. Sur Android, le risque augmente si vous installez un fichier APK reçu par message ou téléchargé sur un site inconnu. Sur iPhone et iPad à jour, l’installation d’applications hors circuit est plus encadrée, mais le vol de compte par faux site, faux profil de configuration ou message frauduleux reste possible.

Un cheval de Troie peut aussi arriver sans clic volontaire lorsqu’un appareil n’est plus mis à jour et qu’une faille est exploitée. Ce cas est moins courant chez les particuliers que l’hameçonnage, mais c’est une raison supplémentaire de ne pas repousser les correctifs de sécurité.

Ce qu’un trojan peut réellement faire

Le premier risque est la prise de contrôle des comptes. Un voleur de mots de passe peut récupérer les identifiants enregistrés, les cookies de connexion ou les données saisies dans un navigateur. Avec l’accès à votre messagerie, un fraudeur peut ensuite demander la réinitialisation de nombreux autres comptes, y compris des réseaux sociaux, des services administratifs ou des boutiques en ligne.

Un trojan d’accès distant transforme l’appareil en poste pilotable à distance. Il peut copier des documents, afficher de fausses fenêtres, installer d’autres programmes ou utiliser la webcam et le micro si les autorisations et la configuration le permettent. Un logiciel espion peut également surveiller la frappe ou le presse-papiers.

Les conséquences ne sont pas uniquement techniques : achats frauduleux, usurpation d’identité, messages envoyés à vos proches ou indisponibilité de vos photos et dossiers. Si l’ordinateur contient des documents professionnels, le risque concerne aussi l’employeur, les clients ou les collègues.

Les signaux qui doivent vous alerter

Un ralentissement, une batterie qui se vide ou un ventilateur actif peuvent avoir des causes banales : manque d’espace, navigateur surchargé, mise à jour ou matériel vieillissant. Ne concluez pas trop vite à une infection. En revanche, l’apparition simultanée de plusieurs signes mérite une vérification.

Surveillez les logiciels inconnus dans la liste des applications, les extensions de navigateur que vous n’avez pas ajoutées, une page d’accueil modifiée, des alertes de connexion venant d’un pays inhabituel ou des règles de transfert créées dans votre messagerie. Une demande de validation à double facteur que vous n’avez pas déclenchée est un signal particulièrement sérieux.

Vérifiez aussi vos opérations bancaires, vos achats en ligne et les appareils connectés à vos comptes principaux. Les notifications reçues par e-mail peuvent être falsifiées : ouvrez directement l’application ou le site officiel, sans cliquer sur le lien reçu.

Que faire si vous suspectez une infection

Agissez calmement et dans cet ordre. L’objectif est d’empêcher la communication avec l’attaquant avant de sécuriser les comptes. Pour un ordinateur professionnel, une tablette prêtée par l’école ou un appareil administré par une entreprise, prévenez d’abord le service informatique : n’effacez pas les éléments qui peuvent servir au diagnostic.

Prévenir l’infection au quotidien sans multiplier les logiciels

La meilleure protection reste une série de gestes simples et réguliers. Activez les mises à jour automatiques du système, du navigateur et des applications. Désinstallez les programmes que vous n’utilisez plus : moins vous avez de logiciels, moins vous avez de portes d’entrée à maintenir.

Téléchargez vos applications depuis les sites des éditeurs, les boutiques officielles ou les dépôts connus. Avant d’ouvrir un fichier inattendu, contrôlez le nom de domaine de l’expéditeur et le contexte. Un vrai organisme peut vous écrire, mais il ne vous demandera pas de communiquer un code de sécurité reçu par SMS ou application.

Un gestionnaire de mots de passe aide à utiliser un mot de passe long et différent par site. Il a un autre avantage concret : il ne remplit habituellement pas vos identifiants sur une fausse adresse web, ce qui peut révéler une page d’hameçonnage. La double authentification réduit fortement l’effet d’un mot de passe volé, sans rendre un compte invulnérable.

Nettoyage maison ou professionnel : combien prévoir ?

Si l’alerte concerne seulement une extension récente ou un programme clairement identifié, un nettoyage guidé et une analyse complète peuvent suffire. En revanche, une prise de contrôle à distance, des identifiants compromis, un logiciel bancaire suspect ou des fichiers chiffrés justifient un diagnostic plus approfondi. La réinstallation complète est plus contraignante, mais elle est souvent l’option la plus fiable pour repartir sur une base saine.

Les prix varient selon la ville, le volume de données à récupérer et l’état de l’appareil. Demandez un devis écrit précisant le diagnostic, la sauvegarde éventuelle, la réinstallation et la remise en route. Méfiez-vous des numéros affichés dans une fenêtre d’alerte : un technicien sérieux ne vous demande pas de le laisser prendre la main à partir d’un pop-up.

Banque, données personnelles et signalement : les bons interlocuteurs

En cas de paiement ou de virement que vous ne reconnaissez pas, contactez sans attendre votre banque par le numéro figurant au dos de votre carte, dans l’application officielle ou sur un relevé. Faites opposition si la banque vous l’indique et conservez les preuves. Une banque ne vous demandera jamais un code de validation pour « annuler » une fraude.

Pour une escroquerie, une usurpation d’identité ou un accès non autorisé, vous pouvez conserver les captures et déposer plainte. En France, l’accès ou le maintien frauduleux dans un système informatique est réprimé par le Code pénal ; la qualification dépend des faits. Le service public 17Cyber peut orienter les particuliers victimes d’une cybermalveillance. Si un appareil professionnel est concerné, avertissez aussi l’organisation responsable des données.